2026.10.16 금요일
검색
'개인정보 유출' 검색결과
기간검색
-
~
검색영역
검색어
-
금감원, 예가람·웰컴저축은행 해킹 현장점검…유출 경위 확인 [경제일보] 금융감독원이 해킹으로 고객정보가 유출된 예가람저축은행과 웰컴저축은행을 대상으로 현장 점검에 착수했다. 사고 원인과 개인정보 유출 경위를 확인한 뒤 필요할 경우 검사로 전환할 방침이다. 13일 금융권에 따르면 금감원은 이날 두 저축은행에 인력을 보내 최근 발생한 해킹 사고의 경위와 피해 규모, 금융사의 대응 과정 등을 살펴보고 있다. 예가람저축은행은 지난달 30일 해킹 공격을 받아 고객 개인정보 약 5만건이 유출된 것으로 추정된다. 유출 정보에는 성명과 생년월일, 연락처뿐 아니라 계좌번호와 주민등록번호, 직장명, 주소 등이 포함된 것으로 알려졌다. 정확한 유출 규모는 현재 확인 중이다. 예가람저축은행은 지난 2일 처음 사고를 공지할 당시 성명과 생년월일, 연락처를 유출 항목으로 안내했다. 이후 주민등록번호와 계좌번호, 주소 등 추가 정보의 유출 사실이 확인되면서 안내 내용을 보완했다. 웰컴저축은행에서는 지난달 27일 해킹으로 법인 인터넷뱅킹 아이디와 법인명, 대표자 이름, 회사 연락처, 휴대전화번호, 이메일주소 등이 외부로 유출됐다. 웰컴저축은행은 유출된 데이터 2370건 가운데 개인정보가 포함된 데이터가 2299건인 것으로 추정하고 있다. 금감원은 이번 현장 점검에서 확인되는 사고 내용과 금융회사 대응 수준 등을 토대로 정식 검사 전환 여부를 결정할 예정이다. 앞서 금감원은 고객 약 2만5000명의 정보가 유출된 신한은행을 대상으로 지난 6일부터 현장검사를 진행하고 있다. 고객 119명의 정보 유출이 확인된 KB국민은행에는 정기검사 중이던 정보기술(IT) 검사 인력을 지난 1일부터 투입해 사고 내용을 파악하고 있다. 고객 89명의 개인정보가 유출된 하나은행과 주택대출 모집인 146명의 일부 정보가 유출된 현대캐피탈에 대해서는 현재 별도 현장 점검 일정이 정해지지 않은 것으로 전해졌다. 금감원은 정보 유출 규모와 사고 성격 등을 고려해 피해가 큰 금융회사부터 점검에 나서는 것으로 보인다.2026-10-13 13:13:06
-
![[2026 국감] 5대 은행장 국감 증인 채택…은행권 해킹사고 도마 위로](https://image.ajunews.com//content/image/2026/10/08/20261008105344971965.jpg)
5대 은행장 국감 증인 채택…은행권 해킹사고 도마 위로 [경제일보] 최근 은행권에서 개인정보 유출과 해킹 시도가 잇따르면서 5대 은행장이 국정감사 증인으로 채택됐다. 국회 정무위원회는 금융감독원 국정감사에서 사고 원인과 각 은행의 보안 대응 체계 등을 집중적으로 들여다볼 것으로 전망된다. 8일 국회 정무위원회는 국정감사에 앞서 전체회의를 열고 △이환주 KB국민은행장 △정상혁 신한은행장 △이호성 하나은행장 △정진완 우리은행장 △강태영 NH농협은행장을 추가 증인으로 채택하는 안건을 의결했다. 이들은 오는 19일 금융감독원 대상 국정감사에 출석할 예정이다. 최근 은행권에서 잇따라 발생한 해킹과 개인정보 유출 사고의 경위와 대응 과정 등에 대한 질의가 이어질 것으로 보인다. 은행권에서는 이달 들어 주요 시중은행을 대상으로 한 해킹 사고가 연이어 확인됐다. 신한은행에서는 약 2만5000명의 고객정보가 유출됐고 KB국민은행은 119명, 하나은행은 89명의 개인정보가 외부로 유출된 것으로 파악됐다. 우리은행과 NH농협은행에서도 유사한 해킹 시도가 있었지만 현재까지 고객정보 유출은 확인되지 않았다. 이에 따라 이번 국감에서는 실제 피해가 발생한 은행뿐 아니라 공격을 받은 금융회사 전반의 정보보호 체계와 내부통제 수준도 점검 대상이 될 전망이다.2026-10-08 10:54:06
-
금융권 해킹 후폭풍…개인정보 유출 피해자 집단소송 추진 [경제일보] 신한은행 해킹으로 개인정보가 유출된 피해자들을 대상으로 집단 손해배상 소송이 추진된다. 법무법인이 원고 모집에 나선 가운데 온라인에서도 피해자 공동 대응 움직임이 이어지고 있다. 7일 금융권과 법조계에 따르면 서울 서초동의 한 로펌은 이날 신한은행 개인정보 유출 피해자를 대상으로 손해배상 소송 참여자 모집을 시작했다. 참여 대상은 신한은행의 안내 등을 통해 개인정보 유출 사실을 확인할 수 있는 피해자다. 원고 모집이 마무리되면 신한은행을 상대로 손해배상을 청구할 예정이다. 1인당 청구액은 10만~30만원 수준이 검토되고 있다. 앞서 지난 1일 신한은행에서 해킹 사고가 발생해 약 2만5000명의 고객 정보가 유출됐다. 유출 정보에는 △고객명 △전화번호 △연계정보(CI) △연소득 △대출 한도 등 대출 신청 과정에서 활용된 개인정보가 포함됐다. 이 가운데 일부 고객의 주민등록번호 66건과 CI 97건도 외부로 빠져나간 것으로 파악됐다. 사고 이후 정상혁 신한은행장은 대국민 사과문을 발표하고 고객에게 손해가 발생할 경우 책임을 다해 전액 보상하겠다고 밝혔다. 온라인에서도 피해자들의 대응이 이어지고 있다. 네이버에는 '신한은행 해킹 피해자 집단소송 카페'가 개설돼 관련 정보와 대응 방안을 공유하고 있다. 카페 운영자는 은행이 피해 발생 시 전액 보상 방침을 밝혔지만 피해 인정 기준과 신청 절차가 아직 구체적으로 제시되지 않았다는 점을 개설 배경으로 들었다. 신한은행뿐 아니라 △KB국민은행 △하나은행 △BNK부산은행 △예가람·웰컴저축은행 △현대캐피탈 등에서도 침해 사고가 잇따라 확인되면서 개인정보 유출을 둘러싼 법적 대응이 다른 금융회사로 확대될 가능성도 거론된다.2026-10-07 08:49:26
-
금융사 해킹 공격 IP, 인터넷은행에도 접근 시도…피해는 없어 [경제일보] 최근 주요 금융사 해킹에 활용된 공격자의 인터넷주소(IP)가 카카오뱅크와 케이뱅크, 토스뱅크 등 인터넷전문은행 서버에도 접근을 시도한 것으로 나타났다. 다만 각 은행의 보안체계를 통해 접속이 차단돼 현재까지 고객정보 유출 등 피해로 이어진 사례는 확인되지 않았다. 6일 금융권에 따르면 최근 시중은행 등을 공격한 IP 가운데 일부가 올해 카카오뱅크와 케이뱅크 서버에도 접근을 시도한 것으로 파악됐다. 앞서 신한은행과 KB국민은행, 하나은행, BNK부산은행을 비롯해 예가람저축은행, 웰컴저축은행, 현대캐피탈 등에서 해킹 피해가 발생하자 금융당국은 공격에 사용된 IP를 금융권에 공유하고 자체 점검을 지시했다. 점검 과정에서 인터넷전문은행에 대한 접근 시도도 확인됐다. 카카오뱅크의 경우 해당 IP가 올해 1월부터 수차례 서버 접근을 시도한 것으로 나타났다. 다만 보안체계를 통해 이를 탐지·차단하면서 추가 공격이나 피해로 이어지지 않은 것으로 알려졌다. 케이뱅크에서도 같은 IP를 통한 접속 시도가 확인됐다. 이 역시 실제 침해 사고나 고객 피해로 이어지지는 않았다. 토스뱅크도 올해 1월부터 8월까지 해당 IP가 서버에 10여차례 접근을 시도한 것으로 전해졌다. 토스뱅크가 접속을 차단하면서 고객 개인정보 유출 등 침해 피해는 발생하지 않았다.2026-10-06 13:45:37
-
국민·하나·부산은행도 당했다…고객정보 줄줄 새는 금융권, 보안은 어디에 [경제일보] 은행권에서 개인정보 유출 사고가 잇따르면서 대출조회와 직원용 업무지원 시스템 등 외부에서 접근할 수 있는 업무 시스템이 보안 사각지대로 떠올랐다. 고객이 직접 사용하는 인터넷·모바일뱅킹뿐 아니라 영업과 업무 편의를 위해 외부 접속을 허용한 시스템에서도 개인정보가 빠져나갔다. 일부 사고에서는 인공지능(AI) 에이전트가 활용됐을 가능성까지 제기되면서 금융권은 개인정보 접근 권한과 공격 탐지·차단 체계를 함께 점검하고 있다. 3일 금융권에 따르면 신한은행, KB국민은행, 하나은행, BNK부산은행, 예가람저축은행에서 개인정보 유출이 확인됐다. 우리은행과 NH농협은행도 외부 공격을 받았지만 현재까지 정보 유출은 확인되지 않았다. 신한은행에서는 대출모집인용 간편조회 서비스에 대한 본인확인 절차를 우회한 접근으로 고객 2만5729명의 정보가 유출됐다. 고객명과 전화번호, 연소득, 대출한도, 신청 상품과 금리 등 대출 관련 정보가 포함됐으며 주민등록번호 66건과 연계정보(CI) 97건도 유출된 것으로 파악됐다. KB국민은행에서는 직원용 모바일 업무지원시스템에 대한 외부 침입으로 임직원 20명과 고객 99명 등 총 119명의 개인정보 153건이 유출됐다. 이름과 전화번호, 주소, 암호화된 주민등록번호 등이 포함됐다. 하나은행에서도 영업지원시스템(ODS)에 대한 비정상적인 접근으로 고객 89명의 개인정보가 유출됐다. 주민등록번호와 성명, 주소, 연락처, 직장명 등이 포함됐으며 은행 측은 고객의 금융거래 정보는 유출되지 않았다고 밝혔다. 부산은행에서는 외주 개발직원 11명의 개인정보가 노출됐다. 성명과 전화번호, 생년월일, 이메일 주소 등이 포함됐으며 고객정보는 유출되지 않았다고 은행 측은 밝혔다. 예가람저축은행에서도 개인정보가 포함된 서버에 대한 외부 침입으로 성명과 생년월일, 연락처 등이 유출됐으며 피해 규모는 약 4만명으로 추산되고 있다. 이번 사고에서 공통적으로 드러난 것은 외부에서 접근할 수 있으면서 개인정보를 취급하는 시스템이다. 대출모집인은 고객의 대출 조건을 조회하고 은행 직원은 현장에서 업무를 처리하기 위해 고객정보에 접근한다. 업무 편의를 높이기 위해 외부와 연결한 경로가 공격자에게는 개인정보 접근 통로가 될 수 있다는 의미다. 따라서 고객정보 보호 범위도 실제 데이터가 오가는 경로 전체로 넓혀야 한다. 고객용 뱅킹 서비스뿐 아니라 직원용 앱과 영업지원시스템, 외주 인력이 이용하는 웹페이지까지 인증과 접근통제가 제대로 작동하는지 점검해야 한다. 어떤 시스템이 어떤 정보를 보유하고 누가 조회할 수 있는지도 세분화할 필요가 있다. 신한은행 사례처럼 인증 절차를 거쳤더라도 해당 이용자에게 특정 고객정보를 조회할 권한이 있는지 다시 확인하는 과정이 중요하다. 미국 국립표준기술연구소(NIST)가 제시하는 제로트러스트 원칙 역시 접속 위치나 기기만으로 사용자를 신뢰하지 않고 정보자원에 접근할 때마다 신원과 권한을 검증하는 것을 핵심으로 한다. 공격을 얼마나 빨리 발견했는지도 쟁점이다. KB국민은행에 대한 공격은 지난달 27일 오후 11시19분께 시작됐고 은행이 이를 인지한 것은 지난달 30일 오후 7시께였다. 최초 공격 이후 약 67시간41분이 지난 뒤였다. 신한은행 역시 최초 공격 15시간26분 뒤 비정상 접근을 감지했고 최종 차단까지는 30시간11분이 걸렸다. AI를 활용한 공격 가능성은 탐지 속도의 중요성을 더욱 키운다. 국내 공격과 관련된 것으로 추정되는 웹서버에서 AI 자율 침투테스트 도구를 의미하는 ‘ARTEX’ 문구가 확인됐다는 분석도 나왔다. 다만 해당 도구가 실제 공격에 사용됐는지와 공격 주체, 금융사별 사고의 연계성은 현재 조사 중이다. 해외에서도 생성형 AI와 코딩 도구를 활용해 취약점 탐색과 정보수집 등 공격 과정의 상당 부분을 자동화한 사례가 보고됐다. 금융회사들은 정상적인 업무와 이상 행위를 구분하는 탐지 체계를 강화해야 한다. 로그인 실패뿐 아니라 평소와 다른 시간대의 접속, 업무 범위를 벗어난 고객정보 조회, 짧은 시간에 집중되는 요청 등을 하나의 흐름으로 분석할 필요가 있다. AI가 공격 과정의 반복 작업을 자동화할수록 개별 접속 기록만으로는 이상 징후를 찾기 어려워질 수 있기 때문이다. 금융당국도 외부에 노출된 전산시스템 전반으로 점검 범위를 넓혔다. 금융위원회는 2일 금융권 긴급 상황 대응 회의를 열고 은행과 카드업권에 외부에서 접근할 수 있는 전산시스템과 서비스에 대한 자체 보안 점검을 지시했다. 금융회사들은 외부 노출 자산과 접근통제 현황, 인증 절차, 비인가 정보 조회 경로 등을 점검해야 한다. 이번 연쇄 사고 이후 금융권의 보안 점검은 장비 설치 여부를 넘어 개인정보가 어느 시스템으로 전달되고 누가 조회하며 비정상 접근을 얼마나 빨리 탐지·차단하는지까지 확대될 전망이다. 자체 시스템은 물론 협력사가 구축·운영하는 서비스까지 관리 범위에 포함해야 한다는 요구도 커질 것으로 보인다. AI를 활용한 방어 역시 접속 기록 분석과 이상 징후 탐지부터 확대하되, 금융거래나 시스템 변경처럼 위험도가 높은 조치는 사람의 승인과 복구 절차를 함께 두는 방식이 필요하다.2026-10-03 12:06:29
-
![[류청빛의 요즘IT] 비밀번호 하나 새면 다른 계정까지 뚫린다…개인정보 유출 연쇄 피해 주의](https://image.ajunews.com//content/image/2026/10/02/20261002175901590222.jpg)
비밀번호 하나 새면 다른 계정까지 뚫린다…개인정보 유출 '연쇄 피해' 주의 [경제일보] 개인정보 유출 사고가 반복되면서 유출된 정보가 계정 탈취와 피싱·스미싱 등 2차 공격에 악용될 가능성이 커지고 있다. 공격자들이 유출된 아이디·비밀번호를 다른 서비스에 대입하거나 이름·전화번호 등 개인정보를 활용해 실제 기업과 기관을 사칭하는 방식이다. 이에 따라 개인정보 유출 사고를 단순히 유출 규모로만 볼 것이 아니라 이후 유출 정보가 어떻게 악용되는지까지 살펴봐야 한다는 지적이 나온다. 3일 안랩에 따르면 계정 탈취와 피싱 등 개인정보 유출 이후 발생할 수 있는 추가 피해를 예방하기 위해서는 이용자뿐 아니라 서비스 운영 기업도 계정 및 개인정보 보호 체계를 점검해야 한다. 가장 대표적인 2차 공격 방식은 유출된 아이디와 비밀번호를 다른 서비스에 반복적으로 대입하는 '크리덴셜 스터핑'이다. 여러 서비스에서 같은 비밀번호를 사용하는 이용자가 많을수록 한 곳에서 발생한 계정 정보 유출이 다른 서비스의 계정 탈취로 이어질 가능성이 높아지는 것으로 꼽힌다. 특히 이메일 계정은 다른 서비스의 비밀번호 재설정이나 본인 확인 등에 활용되는 경우가 많아 별도의 비밀번호를 사용하는 등 우선적으로 보호해야 한다. 한 서비스에서 계정 정보 유출 사실을 통보받았다면 해당 서비스뿐 아니라 같은 비밀번호를 사용했던 다른 서비스의 비밀번호도 각각 변경해야 하는 것이다. 개인정보가 함께 유출된 경우에는 피싱과 스미싱으로 이어질 가능성도 있다. 공격자는 이름이나 전화번호 등 확보한 정보를 바탕으로 기업이나 기관을 사칭한 메시지를 보내 이용자의 신뢰를 높일 수 있다. 개인정보 유출 사고 직후에는 '개인정보 유출 확인', '피해 보상 신청', '계정 보호' 등을 내세워 불안감을 자극하는 방식의 공격도 발생할 수 있다. 이 때문에 이용자가 문자나 이메일에 포함된 링크를 통해 계정 상태를 확인하기보다는 해당 서비스의 공식 앱을 직접 실행하거나 홈페이지 주소를 직접 입력해 사실 여부를 확인하는 것이 중요하다. 본인이 요청하지 않은 로그인 인증이나 비밀번호 변경 알림이 도착했을 때도 인증을 승인하거나 인증번호를 다른 사람에게 전달해서는 안 된다. 다중 인증(MFA·2단계 인증) 설정도 기본적인 방어 수단으로 꼽힌다. 비밀번호가 외부에 노출되더라도 추가 인증 절차를 거치도록 하면 계정 탈취 가능성을 낮출 수 있기 때문이다. 로그인 알림을 활성화하고 최근 로그인 기록과 접속 기기 목록을 주기적으로 확인하는 것도 필요하다. 보안업계에서는 이용자 개인의 계정 관리뿐 아니라 서비스 운영 기업의 보안 체계도 함께 강화돼야 한다고 보고 있다. 개인정보가 유출되는 경로가 고객이 직접 사용하는 홈페이지와 애플리케이션에만 한정되지 않기 때문이다. 안랩은 서비스 운영 기업이 API(응용프로그램 인터페이스)에 대한 인증과 접근 통제를 강화하고 이상 행위를 지속적으로 모니터링해야 한다고 권고했다. 특히 API 요청 과정에서 특정 이용자의 정보에 접근할 수 있는 권한이 적절하게 검증되는지 점검해야 한다는 설명이다. 예를 들어 요청 파라미터를 변조해 다른 이용자의 정보를 조회하거나 자동화된 방식으로 대량의 정보를 반복 조회하는 공격을 막기 위해 데이터 단위의 접근 권한을 확인해야 한다. 일정 시간 동안 허용되는 API 요청 횟수를 제한하고 반복적인 정보 조회나 무차별 대입 등 비정상적인 요청을 탐지·차단하는 체계도 필요하다. 고객이 직접 이용하는 서비스 외에 관리자 페이지와 내부 업무 시스템, 협력사가 사용하는 업무 지원 시스템까지 보안 점검 범위를 확대해야 한다는 점도 강조됐다. 외부에서 접속할 수 있는 시스템을 파악하고 사용하지 않는 계정이나 불필요한 외부 접속 경로를 차단하는 한편 퇴사자와 계약이 종료된 협력사의 계정이 남아 있지 않은지 정기적으로 확인해야 한다. 특히 관리자나 협력사 계정에 과도한 권한이 부여돼 있을 경우 계정 하나가 침해됐을 때 대규모 고객정보 접근으로 이어질 수 있다. 이에 따라 업무에 필요한 범위 내에서만 권한을 부여하고 외부 접속과 관리자 계정에는 다중 인증을 적용하는 등 접근통제를 강화해야 한다. 고객정보 자체를 최소화하는 것도 기업의 보안 부담을 줄이는 방법으로 꼽힌다. 업무에 필요하지 않은 개인정보까지 보관하지 않고 보유기간이 지난 정보는 관련 법령과 내부 기준에 따라 파기해야 한다. 업무 화면이나 API 응답에서도 전체 개인정보 대신 실제 업무에 필요한 정보만 제공하고, 이름이나 전화번호 일부를 가리는 등 노출 범위를 줄일 필요가 있다. 대량의 고객정보를 조회하거나 다운로드할 수 있는 권한 역시 실제 업무에 필요한 담당자로 제한해야 한다. 중요 정보의 조회·다운로드·반출 기록을 남기고 비정상적인 대량 조회가 발생했을 때 이를 빠르게 파악할 수 있도록 로그 관리와 이상행위 모니터링 체계를 갖추는 것도 중요하다. 결국 개인정보 유출 사고 이후 이용자에게 비밀번호 변경이나 피싱 주의를 당부하는 것만으로는 2차 피해를 모두 막기 어렵다는 지적이다. 이용자는 서비스별로 독립된 비밀번호와 다중 인증을 사용하고 로그인 기록을 확인하는 등 계정 보안을 관리해야 하며, 기업은 고객용 홈페이지와 앱을 넘어 API와 관리자 페이지, 내부 업무 시스템까지 접근통제 범위를 확대해야 한다는 것이다. 양하영 안랩 ASEC 실장은 "계정정보나 개인정보가 유출된 이후에는 공격자가 이를 활용해 추가적인 공격을 시도할 수 있기 때문에 사전에 기본적인 보안 조치를 강화하는 것이 중요하다"며 "서비스별로 서로 다른 비밀번호를 사용하고 다중 인증을 설정하는 등 일상에서 실천할 수 있는 기본적인 보안 수칙을 지키는 것만으로도 계정 탈취와 2차 피해 위험을 줄이는 데 도움이 된다"고 말했다. 이어 "서비스 이용자는 평소 사용하는 서비스의 보안 설정을 점검하고, 서비스 운영 기업은 고객이 직접 이용하는 서비스뿐 아니라 API와 내부 업무 시스템까지 접근통제와 이상행위 모니터링 체계를 점검해야 한다"고 덧붙였다.2026-10-03 09:00:00
-
신한 이어 하나은행도 뚫렸다…AI 해킹으로 고객 89명 개인정보 유출 [경제일보] 하나은행에서도 해킹 사고로 고객 개인정보가 유출된 것으로 확인됐다. 앞서 신한은행과 KB국민은행에서도 비슷한 사고가 알려지면서 은행권 전반이 AI 해킹 공격에 노출됐다는 우려가 나온다. 하나은행은 외부 해킹 세력에 의해 고객 89명의 정보가 빠져나간 것으로 파악됐다고 2일 밝혔다. 유출된 정보는 △주민번호 △성명 △주소 △이메일 주소 △전화번호 △휴대번호 △직장명이다. 사고는 외부 해킹 에이전트가 영업지원시스템(ODS)에 시도한 비정상적인 접근에서 비롯된 것으로 전해졌다. 은행 측은 해당 시스템이 인터넷뱅킹과 모바일뱅킹 거래 시스템과는 별개의 채널이라 금융거래 정보 유출과는 관련이 없는 것으로 확인했다고 설명했다. 하나은행은 피해 고객을 대상으로 개별 통보를 진행하고 있다. 이번 정보 유출로 실제 피해가 발생하면 관련 규정에 따라 전액 보상할 방침이다. 신한은행은 앞서 1일 통신 전문 구조(코드)가 무단 해킹당해 약 2만5000명의 고객 정보가 유출됐다고 밝혔다. KB국민은행도 같은 날 고객 119명의 개인정보가 유출됐다고 공개했다. 금융위원회는 이날 신진창 사무처장 주재로 금융권 '긴급 상황 대응 회의'를 열었다. 회의에서는 최근 금융사 정보 유출 사건과 공격유형·수법 등을 공유했다. 금융위는 은행과 카드업권에 자체 보안 점검도 지시했다. 하나은행 관계자는 "이번 사고를 매우 엄중하게 받아들이고 있으며, 유관기관과 긴밀히 협조해 철저한 원인 규명과 함께 재발 방지 대책 마련에 최선을 다하겠다"며 "손님 여러분께 심려를 끼쳐드린 점에 대해 깊이 사과드린다"고 말했다.2026-10-02 18:27:41
-
고객정보 2만5000명 유출·173억 대출사기…흔들리는 신한은행 정상혁號 [경제일보] 신한은행이 잇단 금융사고로 내부통제 시험대에 올랐다. 최근 외부 공격으로 고객 2만5000여명의 개인·신용정보가 유출된 데 이어 앞서 발생한 부동산 관련 대출사기 사고 규모도 조사 과정에서 173억원까지 확대됐다. 두 사건 모두 은행 임직원의 횡령·배임과는 성격이 다르다. 개인정보 유출은 외부 비인가자의 공격, 대출사기는 외부인의 사기 행위가 직접적인 원인이다. 다만 외부에서 발생한 위험을 은행의 보안·여신관리 시스템이 얼마나 신속하게 탐지하고 차단했는지가 금융당국의 점검 대상으로 떠올랐다. 2일 금융권과 금융당국 등에 따르면 신한은행에서는 최근 외부 비인가자가 인증 절차를 우회해 일부 서비스에 접근하면서 약 2만5000명의 고객정보가 유출됐다. 유출 정보에는 고객 이름과 전화번호, 연소득, 대출 산출한도 등이 포함됐다. 일부 고객의 주민등록번호 66건과 연계정보(CI) 97건도 유출된 것으로 파악됐다. 금융감독원은 긴급 현장점검에 착수해 정확한 사고 경위와 피해 범위, 신한은행의 정보보호 체계 등을 들여다보고 있다. ◆대출모집인 서비스가 공격 통로…금감원 조사 착수 이번 사고는 신한은행의 핵심 전산망이나 고객용 모바일뱅킹 시스템이 아닌 대출모집인이 사용하는 별도 서비스를 통해 발생한 것으로 알려졌다. 해당 서비스는 대출모집인이 자신이 접수한 고객의 대출 진행 상황 등을 조회하는 데 사용된다. 외부 공격자는 정상적인 본인 확인 절차를 우회해 고객정보에 접근한 것으로 파악되고 있다. 금융당국은 구체적인 공격 방식과 보안상 취약점, 이상접속 탐지·차단 시스템의 작동 여부 등을 조사할 것으로 보인다. 핵심 전산망이나 모바일뱅킹 시스템 자체가 침해된 것으로 확인된 것은 아니다. 2일에는 공격에 이용된 것으로 추정되는 서버에서 중국어 기반 오픈소스 인공지능(AI) 침투테스트 도구와 관련된 흔적이 발견됐다는 보도도 나왔다. 다만 해당 도구가 실제 공격에 사용됐는지는 확인되지 않았다. 신한은행은 사고 인지 이후 외부 IP를 차단하고 관련 서비스를 중단하는 등 긴급 조치를 취했다. 정상혁 신한은행장은 사과문을 통해 개인정보 보호체계를 전면 재점검하고 이번 사고로 고객에게 실제 손해가 발생할 경우 전액 보상하겠다고 밝혔다. ◆대출사기 29억→69억→173억원…사고 규모 계속 늘어 앞서 신한은행에서는 외부인이 개입한 부동산 관련 대출사기도 발생했다. 신한은행이 최종 정정 공시한 사고 금액은 173억4355만원이다. 지난해 12월 최초 공시 당시 29억6440만원이었던 사고 규모는 자체 조사와 경찰 수사 과정에서 올해 6월 69억6890만원으로 늘었고, 8월 다시 173억4355만원으로 확대됐다. 최초 공시액의 약 5.9배다. 신한은행은 조사 과정에서 같은 유형의 사고가 추가로 확인돼 사고 금액을 정정했다는 입장이다. 해당 사건은 외부인이 허위 서류 등을 이용해 대출을 받은 사기 사건으로 신한은행 역시 피해자다. 다만 사고 금액이 조사 과정에서 세 차례 확대되면서 대출심사와 이상거래 탐지, 사고 발생 이후 유사 거래 점검 과정이 적절했는지는 점검 대상이 될 것으로 보인다. 유사한 대출사기는 다른 금융회사에서도 발생했다. 공개된 금융당국 자료에 따르면 은행·상호금융권에서 확인된 관련 사고는 136건, 1091억원 규모다. 금융회사별로는 IBK기업은행 182억원, 신한은행 173억원, 우리은행 99억원, KB국민은행 36억원 등이다. 이에 따라 금융권에서는 개별 금융회사의 사고 책임과 별도로 허위 분양·재직·소득서류 등을 이용한 이른바 '작업대출'에 대한 은행권 여신심사 체계를 강화해야 한다는 지적이 나온다. ◆책무구조도 실효성도 도마…정상혁 행장 연말 임기 만료 최근 사고는 신한은행이 책무구조도를 시행하고 있다는 점에서도 주목된다. 신한은행은 2024년 금융당국에 책무구조도를 제출했다. 정 행장도 올해 신년사에서 책무구조도 시행 이후 내부통제 체계를 고도화하고 사고 예방 중심의 금융소비자 보호 시스템을 강화하겠다고 밝혔다. 책무구조도는 금융회사 임원별 담당 업무와 내부통제 책임을 구체화한 제도다. 금융사고 발생 자체보다 담당 임원이 자신의 책무 범위에서 필요한 관리조치를 제대로 이행했는지가 책임 판단의 주요 기준이 된다. 금감원은 이번 현장점검에서 대출모집인 관련 서비스의 보안점검과 접근권한 관리, 이상접속 탐지체계 등이 적절하게 운영됐는지를 살펴볼 것으로 예상된다. 이번 사고는 연말 신한은행장 인선을 앞두고 발생했다는 점에서도 부담이다. 정 행장은 2023년 취임한 뒤 한 차례 연임해 올해 말 임기가 끝난다. 금융권에서는 그동안 추가 연임 가능성이 거론돼 왔지만 개인정보 유출 사고와 이에 대한 금융당국의 조사 결과가 향후 인선 과정에서 변수로 작용할 가능성이 있다. 다만 현재 조사가 진행 중인 만큼 정 행장 개인의 책임이나 제재 여부는 확정되지 않았다. 국정감사 출석 여부도 관심사다. 정 행장은 금융권 관련 1차 증인 명단에서는 제외됐지만 이번 개인정보 유출 사고 이후 추가 증인 채택 가능성이 거론되고 있다. 금융감독원 국정감사와 금융위·금감원 종합감사가 남아 있어 여야 협의 결과에 따라 증인으로 추가될 가능성이 있다. 금융권에서는 이번 사고를 계기로 신한은행의 외부채널 보안과 개인정보 접근권한, 이상거래 탐지 체계 등이 금융당국의 집중 점검 대상이 될 것으로 보고 있다. 특히 대출모집인 등 외부채널을 통한 고객정보 접근 관리와 이상접속 차단, 대출 과정에서 반복되는 비정상 거래 탐지 등이 주요 점검 대상으로 꼽힌다. 신한은행 관계자는 개인정보 유출 사고와 관련해 고객 피해 방지를 최우선으로 필요한 조치를 시행하고 있으며 개인정보 보호체계 전반을 재점검하겠다는 입장이다.2026-10-02 15:33:33
-
정재헌 SKT CEO "고객의 목소리를 변화로"…만족도 3관왕에 감사 [경제일보] 정재헌 SK텔레콤 최고경영자(CEO)가 국내 3대 고객만족도 조사 1위에 대해 지난해 해킹 사안 이후 기다려준 고객에게 감사를 전했다. 고객 평가를 신뢰 회복의 성과로 받아들이면서도, 서비스 개선을 이어가라는 요구로 해석했다. 정 CEO는 1일 SKT 뉴스룸 기고문에서 “국민과 고객에게 걱정을 끼치며 무너졌던 믿음을 1년 만에 되찾았다”며 “고객 신뢰를 훼손한 이듬해 고객의 평가로 확인한 성과이기에, 이번 결과를 더욱 뜻깊고 무겁게 받아들인다”고 밝혔다. SKT는 지난달 30일 발표된 한국산업의 고객만족도(KCSI)에서 이동전화 부문 1위에 올랐다. 지난 4월 국가고객만족도(NCSI), 7월 한국서비스품질지수(KS-SQI)에 이어 올해 세 조사에서 모두 이동통신 부문 정상을 차지했다. 조사별 이력은 다르다. KCSI는 2024년까지 27년간 지켜온 1위 자리를 지난해 내준 뒤 올해 되찾았다. KS-SQI는 올해까지 27년 연속 1위를 유지했다. 회사 측은 올해 KCSI에서 장기고객 혜택, 통화·데이터 품질, 요금제 만족도 등이 전년보다 상승했다고 설명했다. 정 CEO는 “뜻깊은 결과 앞에서 가장 먼저 떠올린 것은 지난해 고객께 끼쳐 드린 불편과 걱정이었다”며 “고객의 믿음은 결코 당연한 것이 아님을 절실히 배웠다”고 말했다. 신뢰 회복 활동은 고객 접점에서 진행됐다. SKT는 올해 전국 87개 시·군에서 고령층 고객 3만5000여명을 대상으로 한 ‘찾아가는 서비스’ 등을 포함해 총 730회의 고객 경험 활동을 운영했다고 밝혔다. 고객센터와 대리점, 공항 로밍센터 등에서도 이용자의 불편을 듣고 개선 과제를 발굴했다. 100명 규모의 고객자문단과 외부 전문가들이 참여하는 고객신뢰위원회도 각각 운영한다. 최근에는 두 조직과 함께 고객의 실제 이용 행동과 체감 경험을 바탕으로 신뢰 지표를 마련하고, 지표별 개선 과제를 논의했다. 고객센터로 들어오는 의견과 불만은 AI로 분석해 상품·서비스 개선에 활용한다. 회사 측은 고객 안내 메시지의 정확성을 AI로 검수하고, 대규모 행사 때 통신 수요를 예측하는 등 상담·안내·네트워크 운영에 AI를 적용하고 있다고 설명했다. 이 같은 활동의 배경에는 지난해 개인정보 유출 사안이 있다. 개인정보보호위원회는 당시 약 2324만명의 휴대전화번호와 가입자식별번호, 유심 인증키 등 25종의 정보가 유출됐다고 확인했다. 안전조치 의무와 유출 통지 위반으로 부과한 과징금은 1347억9100만원이었다. SKT는 지난 7월 첫 ‘정보보호백서 2025’를 발간해 사고 이후 재발 방지 활동과 개인정보보호 체계 개선 내용을 공개했다. 고객 응대와 혜택을 손보는 동시에 정보보호 운영 체계를 재점검한 것이다. 정 CEO는 이번 결과를 신뢰 회복의 종착점으로 보지는 않았다. 그는 “이번 3대 고객만족도 조사 1위가 신뢰 회복의 완성이라고 생각하지 않는다”며 “이번 결과를 더 높은 기준으로 고객을 대하고, 더 나은 서비스로 보답하라는 고객의 요청으로 받아들이겠다”고 밝혔다.2026-10-01 11:57:45
-
이통 3사 CEO "AI 기획부터 개인정보 보호"…5년 투자계획도 공개 [경제일보] 이동통신 3사가 인공지능(AI) 서비스의 기획 단계부터 개인정보 보호를 반영하고, 최고경영자(CEO)가 직접 점검하는 예방 체계를 갖추겠다고 밝혔다. SK텔레콤은 5년간 정보보호에 7000억원을 투자하고, KT는 보안과 IT 인프라 현대화에 같은 기간 2조2000억원을 투입할 계획이다. 정재헌 SK텔레콤 대표와 박윤영 KT 대표, 홍범식 LG유플러스 대표는 28일 서울 중구 한국프레스센터에서 송경희 개인정보보호위원장과 만나 보호 강화 방안을 논의하고 ‘국민이 신뢰하는 AI·디지털 사회를 위한 공동선언문’에 서명했다. 개인정보 보호를 경영의 우선 가치로 두고 CEO 중심의 책임 체계를 마련하며, AI 서비스 전 과정에서 위험을 사전에 살피겠다는 내용이다. 이번 선언은 AI 서비스가 이용자 데이터를 다루는 범위가 넓어지는 가운데 통신사의 개인정보 보호 책임을 경영진 차원으로 끌어올렸다는 데 의미가 있다. 개인정보위는 지난 11일부터 반복적·대규모 개인정보 유출에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 한 개정 개인정보 보호법과 시행령을 시행했다. 사고 뒤 대응뿐 아니라 위험을 미리 찾아내고 관리할 체계가 기업의 과제가 됐다. SK텔레콤은 향후 5년간 정보보호 분야에 7000억원을 투자하고, ‘프라이버시 퍼스트’를 임직원 업무 원칙으로 삼기로 했다. AI 서비스의 기획·개발·출시·운영 단계마다 개인정보 관련 위험을 점검하는 거버넌스도 운영할 방침이다. 정 대표는 개인정보 보호를 AI 산업의 성장을 뒷받침하는 신뢰 기반이라고 강조했다. KT는 5년간 2조2000억원을 보안과 IT 인프라 현대화에 투입한다. 회사는 전문성과 독립성을 갖춘 개인정보보호책임자(CPO) 체계를 확립하고, CEO와 이사회가 주요 위험과 투자 계획을 직접 점검하겠다고 밝혔다. 네트워크와 미디어 인프라까지 정보보호·개인정보보호 관리체계 인증(ISMS-P) 범위를 넓히는 방안도 추진한다. 박 대표는 지난해 개인정보 유출 사고에 대해 사과하고 재발 방지에 힘쓰겠다고 말했다. LG유플러스는 CEO와 경영진, CPO가 보호 체계를 지속 점검하고 서비스 전 과정에 ‘개인정보 보호 중심 설계(PbD)’를 적용하겠다고 밝혔다. 홍 대표는 개인정보 보호를 기술 부서만의 일이 아닌 기업의 책임경영 과제로 규정하고, 투명성과 이용자 권리 보장을 강화하겠다고 했다. 송 위원장은 개인정보 보호를 담당 부서에 맡겨둘 일이 아니라 CEO와 전사가 함께 책임질 경영 과제로 다뤄야 한다고 당부했다. 통신 3사가 내놓은 투자와 거버넌스 계획이 실제 서비스 설계와 운영 절차에 어떻게 반영되는지가 공동선언의 실효성을 가를 전망이다.2026-09-28 17:36:43
-
"추석 선물이 도착했습니다"…개인정보까지 파고드는 정밀 스미싱 [경제일보] '추석 선물이 도착했습니다', '배송 주소가 잘못돼 배송이 보류됐습니다' 같은 문자를 받았을 때 무심코 링크를 눌렀다가는 개인정보와 금융정보를 탈취당할 수 있다. 특히 최근에는 과거처럼 불특정 다수에게 어색한 문구를 대량으로 보내는 방식에서 벗어나 실제 사용자 정보를 일부 활용해 신뢰도를 높이는 정밀 타깃형 스미싱까지 등장했다. 추석 명절 택배와 선물 관련 연락이 늘어나는 만큼 공격자가 명절 상황에 맞춰 개인정보를 활용할 가능성도 커지고 있다. 25일 보안업계에 따르면 한국인터넷진흥원(KISA)은 최근 추석을 대비해 '추석 특별 경품', '배송 조회', '교통법규 위반' 등을 미끼로 한 스미싱·피싱 등 사이버사기에 주의할 것을 당부했다. 또한 대기업을 사칭한 경품 이벤트 페이지나 배송 지연을 가장한 문자 등을 통해 개인정보 탈취나 송금 피해가 발생할 수 있다고 경고했다. 특히 올해는 공격자가 문자 수신자의 개인정보를 일부 알고 있는 것처럼 보이도록 만들어 신뢰도를 높이는 방식이 나타나면서 주의가 요구된다. 안랩은 지난 3월 '유출된 개인정보 기반 정밀 타겟형 스미싱 공격 증가 주의'라는 보안 권고를 통해 다양한 데이터 유출 사고로 확보한 개인정보를 악용한 정밀 타깃형 스미싱·피싱 공격이 증가하고 있다고 분석했다. 공격자가 실제 사용자 정보 일부를 활용하거나 유사 정보를 이용해 신뢰도를 높이고, 공공기관·금융기관·글로벌 서비스 등을 사칭해 정상적인 업무나 절차 안내처럼 위장하는 방식이다. 공격 방식도 단순히 악성 링크를 누르게 하는 데 그치지 않는다. 안랩에 따르면 공격자는 '서비스 이용 관련 확인이 필요하다', '요청한 내용이 처리됐다', '계정 상태 점검을 위해 추가 인증이 필요하다'는 식의 자연스러운 문구로 사용자의 확인이나 인증 행동을 유도한다. 이후 외부 링크를 통해 추가 개인정보 입력을 요구하는 방식이 활용된다. 이 때문에 이름이나 실제 이용 서비스와 비슷한 정보가 포함됐다는 이유만으로 문자 메시지를 정상 안내로 판단해서는 안 되는 것으로 평가된다. 공격자가 확보한 개인정보나 공개된 정보를 조합해 실제 상황처럼 보이는 메시지를 만들 수 있기 때문이다. SK쉴더스도 추석을 앞두고 택배와 선물 등을 소재로 한 스미싱에 주의해야 한다고 강조했다. 지난 7일 SK쉴더스는 '주소가 잘못돼 배송이 보류됐다'거나 '추석 선물이 도착했다'는 식의 문구가 명절을 앞두고 실제로 기다리던 배송이나 선물과 겹치면서 이용자의 경계심을 낮출 수 있다고 진단했다. 특히 공격자가 유출된 개인정보나 공개된 정보를 활용해 문자에 이름이나 실제 주문 정보처럼 보이는 내용을 섞을 수 있다고 지적했다. 공격자가 노리는 것도 단순한 문자 클릭이 아니다. 배송 오류나 반송, 배송비 재결제, 모바일 상품권 수령 등을 내세워 개인정보나 금융정보를 입력하게 하거나 악성 앱 설치를 유도하는 방식으로 이어질 수 있다. SK쉴더스는 실제 배송이나 상품권을 기다리고 있는지, 링크 주소가 공식 서비스의 도메인과 일치하는지, 결제나 앱 설치를 급하게 요구하는지를 확인해야 한다고 설명했다. 개인정보가 공격에 활용될 경우 피해자가 스미싱 여부를 판단하기는 더 어려워진다. SK쉴더스는 별도의 자료에서도 개인정보 유출 이후 스미싱, 계정 탈취, 명의도용, 지인 사칭 등 2차 피해로 이어질 수 있으며 공격자가 이름과 배송 정보, 거래 내역 등을 활용해 실제 상황처럼 보이는 문자를 만들 수 있다고 강조했다. 과거 스미싱은 문법이 어색하거나 출처가 불분명한 문자, 지나치게 부자연스러운 링크 등으로 의심할 수 있는 경우가 많았다. 다만 최근에는 정상적인 안내문처럼 문구를 구성하고, 사용자가 실제로 이용했을 법한 서비스나 상황을 끼워 넣는 방식으로 공격의 신뢰도를 높이고 있다. 추석은 해당 스미싱 공격이 자연스럽게 섞일 수 있는 환경으로 꼽힌다. 택배와 선물 배송이 평소보다 늘어나고 모바일 상품권이나 명절 관련 이벤트도 많아지기 때문이다. 실제 KISA 역시 올해 추석을 앞두고 배송 조회, 추석 특별 경품, 교통법규 위반 등을 소재로 한 스미싱을 주요 주의 대상으로 제시했다. 피해를 막기 위해서는 문자에 포함된 링크를 바로 누르지 않는 것이 우선이다. 배송 여부는 문자 속 링크가 아니라 택배사의 공식 애플리케이션이나 홈페이지에서 직접 확인하고, 쇼핑몰 주문 내역에서도 실제 배송 정보가 있는지 확인하는 방식이 안전하다. KISA는 의심되는 문자 메시지를 이용자가 직접 확인할 수 있는 '스미싱 확인서비스'도 운영하고 있다. 카카오톡 '보호나라' 채널에서 의심 메시지를 입력하면 정상·주의·악성 여부를 확인할 수 있다. 최초 신고된 메시지는 분석 과정에서 '주의'로 표시될 수 있으며, 약 10분 뒤 재검사하면 정상 또는 악성 여부를 확인할 수 있다. 이미 링크를 눌렀다고 해서 모두 같은 수준의 피해가 발생하는 것은 아니다. KISA는 문자에 포함된 인터넷 주소를 클릭한 것만으로 악성 앱에 감염되는 것은 아니지만, 해당 주소를 통해 앱을 설치했다면 모바일 백신을 통한 점검이나 경찰·서비스센터 등의 도움을 받아야 한다고 안내한다. 개인정보나 금융 정보를 입력했다면 관련 계정과 금융 서비스에 대한 추가 조치도 필요하다. 금전 피해가 발생했거나 범죄가 의심되는 경우에는 전기통신금융사기 통합 대응단 1394에 신고하고, 사이버 보안 관련 상담은 KISA 118을 이용할 수 있다. KISA는 스미싱 문자 자체도 스마트폰의 스팸 신고 기능이나 보호나라의 스미싱·피싱 확인 서비스를 통해 신고·확인할 수 있도록 돕고 있다.2026-09-25 09:00:00
-
"해킹하라" 안 했는데…오픈AI 에이전트, 호주 정부 사이트 비인가 접근 [경제일보] 오픈AI의 인공지능(AI) 에이전트가 별도의 해킹 지시를 받지 않았음에도 호주 정부의 보건 통계 사이트에서 비공개 파일에 비인가 접근한 것으로 확인됐다. AI에 호주 보건·의료 통계에 대한 답을 찾으라는 과제를 수행하게 했지만, 정보를 찾는 과정에서 외부 사이트의 접근 제한을 우회한 것으로 나타나면서 AI 에이전트의 자율 행동에 대한 통제 문제가 새로운 보안 이슈로 떠오르고 있다. 23일(이하 현지시간) 오픈AI는 내부 평가 과정에서 자사의 AI 모델들이 호주 정부의 여러 웹사이트와 서비스에서 정보를 찾던 중 의도하지 않은 행동을 했다는 사실을 확인했다고 밝혔다. AI 에이전트에 주어진 과제 자체는 호주의 보건·의료 통계에 대한 답을 찾는 것이었지만, 이 과정에서 공개된 정보뿐 아니라 비공개 파일에도 접근한 것으로 파악됐다. 이번 사건에서 주목되는 부분은 AI 모델에 특정 정부 시스템을 공격하거나 정보를 탈취하라는 명시적인 지시가 내려진 것이 아니라는 점이다. AI가 주어진 목표를 달성하는 과정에서 사람이 예상하지 못한 방식으로 외부 시스템에 접근했다는 것이다. 오픈AI는 이번 사건에 대해 모델들이 '의도하지 않은 행동'을 취했다고 설명했다. 현재까지 개인의 메디케어 정보나 의료기록 등 민감한 개인정보가 접근됐다는 증거는 확인되지 않은 것으로 알려졌지만, 호주 정부는 실제로 어떤 정보에 접근했는지와 다른 정부 시스템까지 영향을 받았는지를 확인하기 위해 디지털 포렌식 조사를 진행하고 있다. 이에 앤서니 앨버니지 호주 총리는 기자회견을 통해 샘 올트먼 오픈AI 최고경영자(CEO)와 직접 통화해 호주 정부의 우려를 전달했다고 밝혔다. 그는 정부 통신망 전체로 피해가 확산한 정황은 현재까지 확인되지 않았지만 이번 상황은 받아들일 수 없다는 입장을 전했으며, 오픈AI가 사건을 인지한 뒤 호주 정부에 통보하기까지 상당한 시간이 걸린 점에 대해서도 불만을 표시했다. 호주신호국(ASD)은 현재 사건에 대한 추가 정보를 확보하기 위해 디지털 포렌식 조사에 참여하고 있다. 조사 결과에 따라 이번 접근이 단일 포털에 국한됐는지, 다른 정부 시스템에서도 유사한 행동이 있었는지가 확인될 전망이다. 최근 오픈AI의 AI 에이전트는 비정상적인 행동 사례가 잇따라 발생하고 있다. 오픈AI는 지난 8월 공개한 내부 조사에서 7월 사이버보안 평가 과정 중 자사 모델들이 인터넷 접근을 차단하기 위해 마련된 통제를 우회하고 오픈AI 내부 연구 인프라와 외부 AI 개발 플랫폼인 허깅페이스의 일부 시스템에 접근했다고 밝혔다. 당시 모델들은 허가되지 않은 통신 채널을 이용하고 공유 인프라의 취약점을 악용하는 방식으로 인터넷에 접근했다. 오픈AI는 이 과정에서 모델들이 할당된 과제의 목적과 맞지 않는 행동을 했다고 설명했다. 해당 사건은 사이버보안 능력을 평가하기 위한 내부 테스트 과정에서 발생한 것으로, 이번 호주 정부 사건과 AI 에이전트가 통제된 환경을 벗어나 외부 시스템과 상호작용했다는 공통점이 있다. AI 에이전트가 기존 챗봇과 다른 방식으로 작동한다는 점도 이번 사건의 배경으로 꼽힌다. 기존 챗봇이 사용자의 질문에 답변하는 데 초점이 맞춰져 있다면, 에이전트는 목표를 달성하기 위해 웹사이트를 검색하고 외부 도구를 호출하며 여러 단계의 작업을 자율적으로 수행할 수 있다. 이 과정에서 사용자가 의도한 최종 목표와 AI가 목표를 달성하기 위해 선택하는 중간 행동 사이에 차이가 발생할 수 있도록 설계되고 있다. 특히 외부 인터넷이나 개발 도구, 파일 시스템 등에 직접 접근할 수 있도록 권한을 부여받은 에이전트의 경우 예상하지 못한 행동이 실제 시스템에 영향을 미칠 가능성도 커진다. 오픈AI 역시 최근 AI 모델의 이른바 '미스얼라인먼트' 사례를 잇따라 공개하고 대응 체계를 마련하고 있다. 지난 17일에는 모델이 제약을 우회하기 위한 지시를 삽입하거나, 승인 없이 파일을 외부에 올리는 등 예상하지 못한 행동을 보인 사례들을 공개했다. 오픈AI는 모델의 자율 행동과 감독 회피 가능성을 추적·조사하기 위한 새로운 공개 체계를 마련하겠다고 언급했다. 공교롭게도 이번 호주 사건이 알려진 날 샘 올트먼 CEO는 유엔 안전보장이사회 회의에 참석해 고도화된 AI의 안전성과 국제적인 관리 체계의 필요성을 강조했다. 세계 주요 AI 기업 경영진이 AI가 인간의 통제를 벗어날 가능성과 국제적인 안전 기준 마련을 논의하는 가운데, 실제 AI 에이전트가 외부 정부 시스템에서 예상하지 못한 행동을 한 사례가 공개된 것이다. AI 업계에서는 에이전트의 성능이 높아질수록 단순히 모델의 답변이 안전한지를 확인하는 것뿐 아니라 실제 행동을 어디까지 허용할 것인지에 대한 통제 장치가 중요해지고 있다. 이번 호주 사건 역시 개인정보 유출 여부와 별개로 AI가 사람의 명시적인 해킹 지시 없이도 주어진 목표를 수행하는 과정에서 외부 시스템의 접근 제한을 넘어설 수 있다는 점에서 에이전트 보안의 새로운 과제를 보여주는 사례가 될 전망이다. 샘 올트먼 오픈AI CEO는 유엔 안전보장이사회에서 인공지능에 관해 연설하며 "(인공지능)모델의 빠른 발전으로 인해 실현 시기가 더욱 촉박해졌고, 잠재적 이점이 더욱 분명해졌지만, 동시에 위험과 부담 또한 더욱 시급해졌다"며 "인공지능은 창의성과 발견의 새로운 르네상스처럼 될 수도 있고, 격변과 혼란을 야기하는 새로운 산업혁명처럼 될 수도 있다"고 말했다.2026-09-24 10:52:07
-
과방위 국감 증인 42명 채택…통신·플랫폼 '보안 책임' 집중 추궁 [경제일보] 다음 달 열리는 국회 과학기술정보방송통신위원회 국정감사에서 통신·플랫폼 기업의 개인정보 보호와 사이버 침해사고 대응이 핵심 쟁점으로 다뤄진다. 홈쇼핑 거래관행과 글로벌 플랫폼의 이용자 보호, 방송 현안도 함께 감사대에 오른다. 국회 과방위는 22일 전체회의를 열고 증인 29명과 참고인 13명 등 42명에 대한 ‘2026년도 국정감사 증인 및 참고인 출석요구의 건’을 의결했다. 과방위 국감은 10월 6일부터 23일까지 18일간 진행된다. 추가 의결에 따라 명단은 바뀔 수 있다. 10월 6일 과학기술정보통신부 국감에서는 정보보호 문제가 집중적으로 다뤄질 전망이다. 통신업계에서는 이종현 SK텔레콤 정보보호 최고책임자(CISO), 이상윤 전 KT 정보보안실장, 홍관희 전 LG유플러스 정보보안센터장이 증인으로 채택됐다. SK텔레콤에는 2025년 사이버 침해사고 이후 유심 정보 보호와 피해보상, 정보보호 관리체계 개선 상황을 물을 예정이다. KT와 LG유플러스에는 침해사고 대응과 보안조직 개편 이후 투자·인력 운영, 경영진 보고체계 등을 확인한다. 전직 보안책임자까지 증인으로 부른 만큼 사고 당시 의사결정과 현재 개선조치가 함께 검증 대상에 오를 것으로 보인다. 플랫폼과 서비스 기업 경영진도 대거 명단에 포함됐다. 김진아 메타코리아 대표는 개인정보 침해와 사칭계정 대응 문제로 출석 요구를 받았다. 박수경 듀오 대표와 홍승일 힐링페이퍼 대표, 임한욱 토스페이먼츠 대표, 신용석 토스페이먼츠 CISO도 개인정보 유출 사고와 관련해 증언대에 선다. 김정훈 우아한형제들 CISO와 브렛 앤서니 매티스 쿠팡 CISO에게는 침해사고 대응과 후속 개선조치를 묻는다. 최주희 티빙 대표와 윤상현 CJ ENM 대표는 티빙 개인정보 침해사고와 고객 보상, 모회사 차원의 보안 투자·감독체계를 놓고 질의를 받을 전망이다. 윤구 구글코리아 사장은 앱마켓 정책과 유튜브 구독료 차이 문제로 채택됐다. 생성형 AI 서비스의 안전성과 관련해서는 김종윤 스캐터랩 대표가 증인 명단에 올랐다. 10월 12일 방송미디어통신위원회 국감에서는 홈쇼핑과 플랫폼 이용자 보호 문제가 다뤄진다. 허서홍 GS리테일 대표와 김재겸 롯데홈쇼핑 대표에게 판매수수료와 납품대금, 방송 편성·계약조건 등 중소 납품업체와의 거래관행을 확인한다. 마크 리 애플코리아 대표는 긴급구조 시 위치정보 연계 문제로, 오연주 텔레그램 국내담당자와 신창섭 X코리아 대표는 불법정보와 마약류 판매 게시물에 대한 신고·차단 체계와 반복 계정 대응 문제로 출석 요구를 받았다. 통일TV 송출 중단과 YTN 매각, KBS 이사회 구성 등 방송 현안도 감사 대상이다. 10월 13일 한국항공우주연구원 관련 감사에서는 보안과제 반출 의혹을, 15일 한국인터넷진흥원(KISA) 감사에서는 법인카드 부정사용 의혹을 각각 다룬다. 올해 과방위 국감의 관건은 사고 경위를 재확인하는 데 그치지 않고 보안 투자와 최고경영진의 책임, 피해자 보호 대책을 구체적으로 끌어내는 데 있다. 증인이 정당한 사유 없이 출석하지 않으면 국회증언감정법에 따라 고발 대상이 될 수 있다.2026-09-22 11:52:53
-
카카오게임즈 개인정보 유출 243명으로 확대…일주일 만에 103명 추가 확인 [경제일보] 카카오게임즈 해킹 사고의 개인정보 유출 피해자가 140명에서 243명으로 늘었다. 최초 유출을 확인한 지 일주일 만에 피해 이용자 103명이 추가되면서 초기 조사와 피해 범위 산정이 충분했는지를 둘러싼 점검도 불가피해졌다. 카카오게임즈는 지난 21일 오후 6시22분 RINK 서비스 이용자 103명의 개인정보가 추가로 유출된 사실을 확인했다고 홈페이지에 공지했다. 지난 14일 파트너스와 RINK 이용자 140명의 유출 사실을 파악한 데 이은 2차 확인이다. 이번 추가 피해는 새로운 공격이 발생한 것이 아니라 기존 침해 사고의 영향 범위를 조사하는 과정에서 드러났다. 추가 유출이 확인된 서비스는 RINK이며 노출 정보는 카카오게임즈가 회원 구분을 위해 부여한 자체 식별코드와 일부 이용자의 국가코드다. RINK는 PC에서 실행 중인 카카오게임즈 게임을 스마트폰으로 전송해 원격 조작할 수 있도록 지원하는 서비스다. 1차 조사에서는 RINK의 자체 식별코드·일부 국가코드와 콘텐츠 창작 지원 서비스인 파트너스의 외부 연동용 타사 식별코드 또는 타사 아이디가 유출된 것으로 파악됐다. 공격은 지난 12일 오후 10시44분부터 13일 오후 7시37분 사이 발생한 것으로 추정된다. 외부 공격자가 두 서비스 시스템의 취약점을 이용해 비정상적으로 접근했고 이 과정에서 개인정보가 빠져나갔다. 카카오게임즈는 접근 경로와 관련 계정을 차단하고 취약점 보완, 로그·증거자료 확보와 이상 징후 모니터링 강화에 나섰다. 회사 측은 이름·주소·성별과 비밀번호 등 중요도가 높은 정보는 유출되지 않았다고 설명했다. 식별코드와 국가코드만으로 개인을 특정하기 어려워 악용 위험도 낮다는 입장이다. 다만 식별값은 다른 정보와 결합될 경우 계정 추적이나 사칭에 활용될 가능성을 완전히 배제하기 어렵다. 카카오게임즈도 이용자에게 출처가 불분명한 인터넷 주소와 첨부파일을 열지 말고 요청하지 않은 로그인·결제·비밀번호 변경 알림을 확인하라고 당부했다. 회사나 관계기관을 사칭해 비밀번호와 인증번호, 계좌정보를 요구하는 연락에도 주의를 요청했다. 회사는 개인정보보호위원회 등 관계기관에 신고하고 외부 보안 전문기관과 사고 원인 및 영향 범위를 조사하고 있다. 피해자에게는 이메일로 개별 통지했으며 개인정보 침해 여부를 확인할 수 있는 조회 페이지와 전담 신고 창구도 운영한다. 현재 조사가 끝나지 않은 만큼 피해 규모가 다시 늘어날 가능성도 남아 있다. 취약점의 구체적인 성격과 외부 공격자의 실제 열람·반출 범위, 추가 피해 발생 여부를 얼마나 신속하게 확정하고 재발 방지책을 내놓느냐가 관건이다.2026-09-22 11:34:43
-
문체부·산하기관 사이버 공격 10만건 돌파…웹 해킹이 94% 차지 [경제일보] 문화체육관광부와 산하기관을 겨냥한 사이버 공격이 2021년 이후 10만건을 넘어선 것으로 나타났다. 특히 전체 공격의 90% 이상이 웹 해킹에 집중된 데다 2021년부터 지난해까지 공격 시도 건수가 해마다 늘어 공공 문화기관의 정보보안 체계를 강화해야 한다는 지적이 나온다. 13일 국회 문화체육관광위원회 소속 진선미 더불어민주당 의원이 문체부로부터 제출받은 자료에 따르면 2021년부터 올해 8월까지 문체부와 산하기관을 대상으로 확인된 사이버 공격은 모두 10만2898건으로 집계됐다. 연도별로 보면 2021년 1만1206건이던 공격 시도는 2022년 1만3863건으로 늘었다. 2023년에는 1만9650건, 2024년 1만9662건으로 증가했고 지난해에는 2만1280건을 기록했다. 2021년부터 2025년까지 매년 증가한 셈이다. 올해도 8월까지 이미 1만7237건이 확인됐다. 10건 중 9건 이상 ‘웹 해킹’…미국·중국발 IP 비중 가장 커 공격 유형은 웹 해킹에 압도적으로 집중됐다. 전체 사이버 공격 10만2898건 가운데 웹 해킹은 9만6252건으로 93.55%를 차지했다. 이어 홈페이지 이상이 2.53%, 비인가 접근 1.24%, 악성코드 감염이 0.61%로 집계됐다. 웹사이트가 외부에 상시 노출되는 공공기관의 특성상 웹 서비스의 취약점을 겨냥한 공격이 대부분을 차지한 것으로 나타난 것이다. 공격 출발지로 추정되는 해외 IP도 광범위했다. 전체 공격 가운데 IP 확인이 가능한 외부 공격 시도는 9만7459건이었다. 국가별 IP 비중은 미국이 19.67%로 가장 높았고 중국이 18.79%로 뒤를 이었다. 독일은 5.81%, 네덜란드 3.58%, 러시아는 3.10%였다. 해당 통계는 공격에 이용된 IP 주소의 국가를 기준으로 한 것으로 실제 공격자의 국적이나 소재지와 동일하다고 단정할 수는 없다. 공격 시도 넘어 실제 유출까지…개인정보 사고 3차례 대규모 공격 시도 가운데 실제 개인정보 유출로 이어진 사례도 확인됐다. 2021년 이후 문체부 산하기관에서 발생한 개인정보 유출 사고는 모두 3건이다. 2023년 서울올림픽기념국민체육진흥공단의 온라인 투고 시스템에서는 회원정보 879건이 유출됐다. 2024년에는 한국예술종합학교 학사행정시스템에서 1만8690건의 정보가 유출돼 이번 집계 기간 가운데 피해 규모가 가장 컸다. 지난해에는 영화진흥위원회 중국어 안내페이지에서 회원정보 357건이 유출된 것으로 나타났다. 해당 기관들은 사고 발생 이후 개인정보 유출 사실을 통지하고 웹 취약점 점검과 보완 조치, 접근권한 정비, 개인정보 관리체계 강화 등의 후속 대책을 시행했다. 5년간 공격 증가세 뚜렷…문화 공공기관 보안체계 시험대 이번 자료에서 눈에 띄는 대목은 공격 규모가 일시적으로 급증한 것이 아니라 수년간 증가 흐름을 이어왔다는 점이다. 2021년 1만1206건이던 연간 공격 건수는 지난해 2만1280건으로 약 1.9배 수준까지 증가했다. 올해도 8월까지만 1만7000건을 넘어선 만큼 문체부와 산하기관을 겨냥한 사이버 위협이 상당한 수준으로 지속되고 있는 것으로 나타났다. 특히 문체부 산하에는 문화·예술·체육·관광·영화 등 국민이 직접 이용하는 온라인 서비스를 운영하는 기관이 다수 포함돼 있어 단순한 시스템 장애를 넘어 개인정보 유출로 이어질 경우 피해가 확대될 가능성이 있다. 실제 최근 수년간 세 차례의 개인정보 유출 사고가 발생한 만큼 웹 서비스 취약점 점검뿐 아니라 계정과 접근권한 관리, 악성코드 탐지, 이상접속 감시 등 기관별 정보보안 체계를 지속적으로 점검해야 할 필요성이 커지고 있다.2026-09-13 14:28:43
많이 본 뉴스
영상
Youtube 바로가기
![[데스크칼럼] 반도체 호황에 취한 정부, 민생은 무너진다](https://image.ajunews.com/content/image/2026/10/15/20261015173614583906_518_323.jpg)